IPSEC VPN技术详细讲解--特别推荐.doc

《IPSEC VPN技术详细讲解--特别推荐.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、VPN基础篇本章重点什么是VPN认识数据加/解密数据加/解密的类型散列算法IPSecBaseVPNLinux下的IPSec架构本章我们要讨论这方面的议题，只不过这里所要讨论的方向是如何让企业网络的通信变得更安全。其实，加强通信安全的方法有很多，例如，使用Modem来拨号连接或是FrameRelay的应用等，都可以提高网络上数据传递的安全，但就方便、经济及安全性来考虑，笔者认为VPN（VirtualPrivateNetwork）是其中最好的选择，但是好一点的商用版VPN系统设备少则几十万，如果使用VPN的人数很多，这些VPN的授权费用更是一般中小企业所无法负担的，然而，近年来在

2、Linux系统上VPN技术的发展，已足够与商用版VPN系统平起平坐，而且LinuxVPN系统所能提供的安全性、稳定性及高性能等优点，都是大多数商用VPN系统所望尘莫及的，当然，另一个更为诱人的原因是它完全免费。VPN技术发展至今已有数个年头，且衍生出多种不同的VPN技术，比方说，PPTP、SSLVPN、CIPE、IPSec等。而本章所要介绍的是以IPSec技术为基础的VPN系统，除了完整介绍IPSec的相关技术之外，还包含各种不同网络架构下VPN系统的配置方式，如果你对VPN技术有兴趣或有需求，那么本章的内容你绝对不能错过。1.1什么是VPNVPN（VirtualPrivat

3、eNetwork）的中文意思为“虚拟专用网络”，而VPN的功能是将因特网虚拟成企业网络来使用，这样的叙述似乎不是很容易理解，笔者以图1-1为例来说明VPN的功能及使用VPN的必要性。 （点击查看大图）图1-1VPN介绍(1)图1-1中，笔者假设某企业有两个分点，分别为台北总公司及上海分公司，而这两个分部的企业网络都设置有防火墙，且内部网络都是使用PrivateIP，另外，公司的老板经常会到世界各地出差，所以在这个网络架构下，请你思考一个问题，上海分公司及经常出差的老板是否能够正常访问台北总公司内的FileServer？答案当然是“不可能”，因为台北总公司内的FileServe

4、r是放在NAT后方的PrivateIP区段上，因此上海分公司及出差的老板不可能访问到总公司内的FileServer，但这样的需求在现实网络应用中却是需要的，难道没有完整的解决方案吗？VPN正是为了解决此问题而设计出来的技术。在以往，我们为了连接两个远程PrivateIP网段，必须向电信业者申请FrameRelay的服务，而FrameRelay感觉就像电信业者帮我们拉了一条很长的网线，然后运用这条网线来连接两个PrivateIP的网段，虽然FrameRelay也可以帮我们解决以上的问题，但FrameRelay并不是万能的，下面我们来看看FrameRelay的优缺点。FrameR

5、elay的优点：FrameRelay最大的优点在于“带宽保证”，也就是说，如果你申请的是1Mbps的FrameRelay，就一定会有1Mbps的带宽可以使用，不会因为因特网的拥塞而有任何折扣。FrameRelay的缺点：FrameRelay服务的费用并不是很便宜，而且在FrameRelay网络中所传送的数据并没有加密，故其安全性较差；此外，FrameRelay服务仅能应用于固定的位置（地理环境），如图1-2所示是老板带着NoteBook到处出差，并没有固定的位置，因此，就无法使用FrameRelay的服务。 （点击查看大图）图1-2VPN介绍(2)相对于VPN就不一样了，在早

6、期由于局限在因特网频宽的限制下，如果企业想高速跨越因特网来连接两个网段，那么FrameRelay绝对是首选，但近年来，因为ISP业者不断加大其所拥有的频宽，使得我们上网的连接速度不像以前极不稳定，再加上数据加/解密技术已成熟且CPU运算速度够快，因此，VPN技术已逐渐被企业所接受。那VPN究竟是哪种技术呢？如果以图1-1为例来套用VPN技术，其逻辑上的架构就会如同图1-2，也就是说，VPN把整个因特网虚拟成一个Router，因此，上海分公司及出差的老板就可以借助这个Router来访问企业内部的FileServer。1.1.1VPN的原理说到这里，你或许会有疑问：来源及目的端I

7、P都是PrivateIP，VPN如何让这些PrivateIP可以在因特网上的路由呢？这就是VPN最为重要的一个特点，笔者以图1-3为例来说明VPN技术是如何让两部PrivateIP的主机能够跨越因特网来连接。 （点击查看大图）图1-3VPN的原理从图1-3中我们可以看到两部VPNServer，且各自都有两块网卡，其中一块连接在因特网，我们假设其IP分别为A及B两个PublicIP，另外一块网卡则分别连接至192.168.1.0/24及192.168.2.0/24两个PrivateIP的网段，接着我们来看